क्या ECH किसी VPN की जगह लेता है? दोनों असल में क्या छिपाते हैं

आप Encrypted Client Hello सक्षम करते हैं, कोई साइट खोलते हैं, और कनेक्शन काम करता है। कोई पूछता है कि क्या VPN की अब भी ज़रूरत है, और ईमानदार जवाब यह है कि ये दोनों सुविधाएँ अलग-अलग पक्षों से अलग-अलग चीज़ें छिपाती हैं। ECH TLS हैंडशेक के उन हिस्सों की रक्षा करता है जो अन्यथा उस सर्वर नाम का खुलासा कर सकते हैं जिसकी आपने माँग की। VPN आपके ट्रैफ़िक को एक टनल के भीतर रखता है जो किसी ऑपरेटर के एंडपॉइंट पर समाप्त होता है। दोनों को मिला देना या तो उस सुरक्षा के लिए अधिक भुगतान करवाता है जो आपके पास पहले से है, या यह विश्वास दिलाता है कि आपके पास ऐसी सुरक्षा है जो आपके पास कभी नहीं थी।

ECH के बिना हैंडशेक क्या उजागर करता है

एक TLS कनेक्शन ClientHello से शुरू होता है, और पुराने रूप में इच्छित सर्वर नाम उसके भीतर खुलकर यात्रा करता है। हैंडशेक को देखने की स्थिति में कोई भी व्यक्ति, किसी नेटवर्क ऑपरेटर से लेकर किसी पथ पर लगे निष्क्रिय सेंसर तक, उस नाम को पढ़ सकता है, भले ही उसके बाद एप्लिकेशन डेटा एन्क्रिप्टेड हो। गंतव्य पता भी दिखाई देता है, इसलिए नाम अक्सर अकेला संकेत नहीं बल्कि पुष्टि करने वाली जानकारी होता है।

यही वह विशिष्ट लीक है जिसे ECH निशाना बनाता है। यह एक संकीर्ण लीक है, और इसे संकीर्ण करना सार्थक है, लेकिन यह इस बात को छिपाने के समान नहीं है कि आपका ट्रैफ़िक कहाँ जाता है।

ECH वास्तव में क्या बदलता है

संगत क्लाइंट और सर्वर समर्थन तथा आवश्यक कॉन्फ़िगरेशन के साथ, ECH एक आंतरिक ClientHello को सर्वर द्वारा प्रकाशित कुंजियों के अंतर्गत एन्क्रिप्ट करता है, इसलिए एक प्रेक्षक बाहरी हैंडशेक देखता है जो असली सर्वर नाम नहीं ले जाता। ट्रैफ़िक अब भी उसी पते पर, उन्हीं समयों पर, लगभग उन्हीं मात्राओं में जाता है। समय और आकार देखे जा सकते रहते हैं, और गंतव्य IP कभी भी उस चीज़ का हिस्सा नहीं था जिसे ECH एन्क्रिप्ट करता है।

समर्थन भी सार्वभौमिक नहीं है। हर क्लाइंट, सेवा या व्यक्तिगत कनेक्शन ECH का उपयोग नहीं करता, और आप ताले के आइकन से या अपना VPN देश बदलने से इसकी उपस्थिति का अनुमान नहीं लगा सकते। इसका निदान करने के लिए हैंडशेक को देखना पड़ता है, ब्राउज़र की सजावट को नहीं।

इसके बजाय VPN क्या बदलता है

VPN आवृत ट्रैफ़िक को टनल के भीतर एंडपॉइंट तक ले जाता है, इसलिए आपके सबसे निकट का प्रेक्षक गंतव्य के बजाय VPN से कनेक्शन देखता है। यह बदलता है कि कौन क्या देख सकता है, और यह उस पते को भी बदलता है जो गंतव्य देखता है। यह ऐसा कुछ भी एन्क्रिप्ट नहीं करता जो एप्लिकेशन पहले से एन्क्रिप्ट न कर चुका हो, और यह VPN ऑपरेटर से कनेक्शन नहीं छिपाता, जो रचना के अनुसार पथ पर ही होता है।

दोनों स्वाभाविक रूप से मिलते हैं: एक एप्लिकेशन TLS और ECH का उपयोग कर सकता है जबकि टनल उसके आसपास के नेटवर्क खंड की रक्षा करता है। इनमें से कोई भी यह तय नहीं करता कि हर पक्ष क्या देख या रख सकता है, क्योंकि पक्ष पथ पर अलग-अलग स्थान रखते हैं।

DNS कहाँ फ़िट बैठता है

एक असुरक्षित DNS क्वेरी रिज़ॉल्वर और उस पथ को देखने वाले हर व्यक्ति को नाम का खुलासा करती है, जो TLS हैंडशेक से अलग एक एक्सपोज़र है। ECH DNS को एन्क्रिप्ट नहीं करता, और VPN रिज़ॉल्वर की पहचान केवल तभी बदलता है जब आप अपनी क्वेरीज़ भी टनल से भेजें या एन्क्रिप्टेड रिज़ॉल्वर का उपयोग करें। लोग तीन में से एक सक्षम करते हैं और मान लेते हैं कि बाकी दो भी साथ आ गए।

रिज़ॉल्वर पथ को हैंडशेक पथ से अलग जाँचें। वे स्वतंत्र रूप से विफल होते हैं और अलग-अलग जगहों पर कॉन्फ़िगर होते हैं।

कैसे पता करें कि आप कौन-सी परत देख रहे हैं

पूछें कि अवलोकन क्या उजागर करेगा। यदि प्रश्न यह है कि कौन-सा सर्वर नाम माँगा गया, तो हैंडशेक और रिज़ॉल्वर प्रासंगिक परतें हैं। यदि प्रश्न यह है कि ट्रैफ़िक किस नेटवर्क पर गया और पारगमन में कौन उसे देख सकता था, तो वह टनल है। यदि प्रश्न यह है कि साइट पर किस खाते ने क्या किया, तो इनमें से कोई सहायक नहीं है, क्योंकि वेबसाइट अब भी अनुरोध और आपके द्वारा दी गई कोई भी पहचान प्राप्त करती है।

संगतता की जाँच करते समय प्रमाणपत्र सत्यापन और DNS नीति को अक्षुण्ण रखें। किसी परीक्षण को पास कराने के लिए जाँच बंद करना परिणाम का अर्थ बदल देता है, बजाय यह दिखाने के कि ECH किसकी रक्षा करता है।

एक और परत जोड़ने से पहले लिख लें कि आपने वास्तव में कौन-सी परत सक्षम की है। यहाँ अधिकांश भ्रम इस धारणा से आता है कि एक ही नियंत्रण किसी अनुरोध, उसके नाम, उसके गंतव्य और उसकी पहचान को एक साथ ढक लेता है।